Zusammenfassung

  • Das Forschungsteam stellte am 9. September in der Routing Security SIG der APNIC 62 einen Ausschnitt seines einmaligen IPv4-Scans vom 2. Februar 2026 vor: 4.611 offene BGP-Router in 1.343 AS, darunter 347 als Grenzrouter eingestufte Geräte.
  • „Offen“ bedeutet hier, dass eine beliebige Internetquelle TCP auf Port 179 aufbauen und bei einem unaufgeforderten OPEN-Austausch eine BGP-Antwort erhalten konnte. Ein Angriff oder eine Kompromittierung ist damit nicht nachgewiesen.
  • Die Messung ist eine datierte Schätzung, keine aktuelle Registerzählung. Sie erfasst nur IPv4 von einem europäischen Messpunkt und besitzt keine flächendeckende Ground Truth für Routergruppierung und ASN-Zuordnung.
  • Der nächste sinnvolle Schritt ist keine öffentliche Zielliste, sondern eine vertrauliche Mitteilung, eine dokumentierte Betreiberbewertung und eine vergleichbare Nachmessung mit einem anonymisierten Abschlussbeleg.

Mehr als ein Portscan, weniger als ein Vorfall

Ein angenommener TCP-Verbindungsaufbau sagt wenig über das Gerät. Scan-179 ging eine Protokollstufe weiter: Auf eine Antwort an Port 179 folgte eine standardkonforme BGP-OPEN-Nachricht, deren Erwiderung ausgewertet wurde. Als offen gilt ein Router, wenn er von einer beliebigen Internetadresse erreichbar ist und diesen unaufgeforderten Austausch verarbeitet.

Die Antwort kann vor einer vollständigen Sitzung ASN, BGP-Kennung und unterstützte Fähigkeiten offenlegen. Zugleich beansprucht sie Verarbeitung und Sitzungszustand in der Kontrollschicht. RFC 7454 empfiehlt, an TCP-Port 179 gerichtete Pakete zu verwerfen, wenn ihre Quelle kein bekannter oder erlaubter BGP-Nachbar ist. Wo möglich, soll dies durch kontrollschichtspezifische Filter geschehen.

Der Befund reicht dennoch nicht bis zum Schadensnachweis. Eine OPEN-Antwort belegt weder die Ausnutzung eines Softwarefehlers noch eine dauerhafte Sitzung, eine geänderte Route, einen Ausfall oder Kundenschaden. Das Paper nennt Informationsabfluss, Implementierungsfehler und Ressourcenerschöpfung als mögliche Risiken, beobachtet solche Folgen in der APNIC-Stichprobe aber nicht.

Die Regionalzahl ist ein Modell, kein Anlagenbuch

Weltweit akzeptierten 141.313 IPv4-Adressen TCP und tauschten OPEN aus. Das Team gruppierte sie zu 20.432 Routern in 4.194 AS. Davon wurden 1.127 als Grenzrouter und 16.124 als interne Router eingestuft; 3.181 blieben offen.

Die APNIC-Folien nennen für die Region 4.611 Router, 1.343 AS und 347 Grenzrouter. Das Länderschaubild zählt AS, nicht Geräte: Indonesien 387, Bangladesch 209, Japan 115 und Indien 92. Danach folgen Hongkong, Australien, China, Südkorea, Nepal und Taiwan. Das ist eine Verteilung innerhalb der Messmethode, keine Rangliste nachlässiger Betreiber.

Für die Gruppierung werden BGP-Kennung, die im OPEN genannte ASN und die Zuordnung von Schnittstellen zu AS kombiniert. Private ASN, gemeinsam genutzte Adressen und von einer Seite bereitgestellte Link-Adressen erzeugen Mehrdeutigkeit. Ein öffentliches ASN mit ausschließlich demselben AS zugeordneten Schnittstellen kann intern sein oder am Rand stehen. Die nicht klassifizierte Gruppe bewahrt diese Grenze.

1.627 Adressen wurden als wahrscheinliche Honeypots ausgeschlossen. Sie kopierten ASN und BGP-Kennung des Scanners, öffneten zahlreiche Ports und trugen bei Shodan ein entsprechendes Kennzeichen. Damit verschwindet eine deutliche Fehlerklasse, nicht jede Unsicherheit der übrigen Daten.

Februar ist nicht automatisch September

Der Scan lief einmalig am 2. Februar, nur über IPv4 und von einem einzigen europäischen Standort. Sichtbarkeit kann sich nach Quelle, Pfad, Zeit, Wartung und Gerätekonfiguration ändern. Ein damals sichtbarer Router kann heute geschlossen sein; ein Router mit Quellfilter kann dem Messpunkt vollständig entgangen sein.

Neu im September ist daher die regionale Vorstellung auf der APNIC 62, nicht ein neuer September-Scan. APNIC hat die Messung nicht durchgeführt und kontrolliert die Router nicht. Das Forum kann jedoch Forscher mit den Betreibern zusammenbringen, die eine Konfiguration erklären oder ändern können.

Die veröffentlichte Erklärungslage ist dünn. Laut Paper wurden zwölf Betreiber kontaktiert. Einer bestätigte die IP-AS-Zuordnung, hielt aber das Standardverhalten von BGP für ausreichenden Schutz des Ports. Als weitere Möglichkeiten nennen die Autoren schwer verständliche Härtungshinweise und Softwaregrenzen. Eine Antwort erklärt nicht den Rest; Schweigen ist kein Beweis für Versäumnis.

Der Beleg beginnt nach der Entdeckung

Adressgenaue Daten sollten vertraulich bleiben. Ein Fallprotokoll kann Messzeit, Standort, Sondenversion, TCP- und BGP-Antwortklasse, Zuordnungsmethode und Konfidenz enthalten. Danach folgen der zuständige Routing-Security- oder Abuse-Kontakt, Zustellzeit und Korrekturen der Zuordnung.

Entscheidend ist die Einordnung durch den Betreiber: beabsichtigte und begrenzte Ausnahme, veraltete ACL, Filterfehler, nicht unterstützte Plattform, stillgelegte Schnittstelle, Fehlzuordnung oder ein anderer belegter Grund. Ist eine Änderung nötig, gehören Verantwortlicher und Termin dazu. Die Nachmessung sollte vergleichbare Bedingungen nutzen und bei quellabhängiger Filterung einen zweiten Standort einbeziehen.

Öffentlich genügen versionierte Summen: zugestellte Hinweise, bestätigte Fälle, abgeschlossene Einordnungen, angenommene Korrekturen, geschlossene Expositionen und ausstehende Nachmessungen. So wird sichtbar, ob aus einer großen Zahl Arbeit entstand, ohne ein Verzeichnis für Angreifer zu veröffentlichen.

Quellen